Un incidente rivendicato è un evento di sicurezza asserito che non è ancora stato confermato in modo indipendente. Nella sicurezza informatica, questa distinzione è importante perché un'affermazione su una violazione, un'azione ransomware o un furto di dati può essere fatta prima che qualsiasi prova tecnica sia verificata. Trattare un'affermazione come un fatto può portare a decisioni sbagliate, confusione pubblica o uno sforzo di risposta sprecato.
Negli attacchi reali, gli attori delle minacce possono pubblicare il nome di un obiettivo, dati di esempio o un identificatore per fare pressione sulle vittime e creare urgenza. I difensori dovrebbero trattare tali affermazioni come indizi, non come prove, e convalidarle rispetto a log, telemetria degli endpoint, backup e segnalazioni degli utenti. Un incidente rivendicato diventa azionabile solo dopo che le prove mostrano compromissione, impatto o esposizione.